🩸 CVE-2026-31635 – DirtyDecrypt

Linux 内核本地权限提升（通过 RXGK 页面缓存损坏）

"DirtyDecrypt" — 2026年 "Dirty" 系列漏洞利用之一

📖 概述

DirtyDecrypt（CVE-2026-31635）是 Linux 内核 rxrpc 子系统（特别是 rxgk 组件）中的一个本地权限提升漏洞。

它滥用了 AES-CBC 解密过程中缺失的写时复制（COW）检查，允许非特权用户损坏页面缓存并实现任意文件写入，从而获得 root 权限。

✨ 功能特性

• ✅ 代码清晰、注释完善的 C 语言实现
• ✅ 支持用户 + 网络命名空间
• ✅ 可靠的页面缓存写入原语
• ✅ 针对 /etc/passwd（空白 root 密码）
• ✅ 易于修改以针对 SUID 二进制文件或其他目标
• ✅ 支持静态编译

🛠️ 受影响系统

• 受影响内核版本：6.10 ~ 6.13（启用了 CONFIG_RXGK=y）
• 常见发行版：Fedora、Arch Linux、openSUSE Tumbleweed、自定义内核
• 不受影响：约 6.10 之前的内核或启用了 CONFIG_RXGK=n 的内核

📋 要求

• 启用了 CONFIG_RXGK 的 Linux 内核
• 非特权本地用户访问权限
• 支持 AF_RXRPC 套接字
• keyctl 工具（用于 rxrpc 密钥）

🚀 编译

git clone https://github.com/0xBlackash/DirtyDecrypt.git
cd DirtyDecrypt
gcc -O2 -static -pthread CVE-2026-31635.c -o DirtyDecrypt

💥 用法

sudo ./DirtyDecrypt

预期的成功输出：

=== rxgk pagecache write (DirtyDecrypt) ===
uid=1000 euid=1000

[*] writing shellcode to /usr/bin/su (96 bytes from offset 0)
    [========================================] 100% (XXX/96, YYYY fires)
[*] XXX fires in Z.Zs
[*] exec /usr/bin/su
[*] restore: cp /tmp/.su_12345 /usr/bin/su

# whoami
root

# id
uid=0(root) gid=0(root) groups=0(root)

# 

📁 仓库结构

DirtyDecrypt/
├── CVE-2026-31635.c          # 主要漏洞利用程序
├── README.md                 # 本文件
├── Makefile                  # 可选
└── exploit.log               # 可选的输出日志

🔬 工作原理（技术细节）

1. 进入用户 + 网络命名空间
2. 向密钥环添加 RXGK 密钥
3. 使用 AF_RXRPC 套接字 + splice() 强制将页面缓存页面送入 RXGK 解密路径
4. 触发未调用 skb_cow_data() 的原位 AES-CBC 解密
5. 利用滑动窗口技术逐字节损坏目标文件（/etc/passwd）
6. 清空 root 密码 → 生成 root shell

⚠️ 免责声明

此漏洞利用程序仅用于教育和授权安全测试。
在未经授权的系统上使用属于违法行为。

📜 鸣谢与作者

• 漏洞利用作者：Ashraf Zaryouh "0xBlackash"
• 原始发现者：安全研究人员（2026年）
• PoC 版本：v2.1（2026年5月）